João Pedro Paro

Um dos poucos consensos que emergem da literatura especializada sobre questões de tecnologia é que a chamada "hiperconectividade" e a "superexposição virtual" têm exposto cada vez mais diferentes setores da economia à ameaças relacionadas com ciberataques. Seria esse consenso um exagero ou uma realidade? Vamos aos números:
Segundo dados publicados em 2018 na <a href="https://www.forbes.com/sites/bhaktimirchandani/2018/08/28/laughing-all-the-way-to-the-bank-cybercriminals-targeting-us-financial-institutions/#babb116e9063">Revista Forbes</a>, é fato que os ataques cibernéticos custam mais ao mercado financeiro do que às empresas de qualquer outro setor. Em 2018, os prejuízos nos EUA foram, em média, 18 milhões de dólares por instituição (contra apenas US $ 12 milhões para empresas de todos os setores).
As empresas de serviços financeiros também são as maiores vítimas de ataques de cibersegurança (300 vezes mais atacadas do que as empresas de outros setores). A reportagem conclui que enquanto as empresas americanas típicas são atacadas 4 milhões de vezes por ano, instituições financeiras comuns sofrem surpreendentemente 1 bilhão de de ciberataques por ano.
<ul class="jota-article__internal-links">
<li>+JOTA: <a href="https://www.jota.info/assine">Assine o JOTA e não deixe de ler nenhum destaque! 
</a></li>
</ul>
Uma pesquisa, da PwC, <a href="https://www.pwc.com.br/pt/estudos/setores-atividade/produtos-consumo-varejo/2019/global-consumer-insights-survey-2019.html">Global Consumer Insights Survey (GCIS) no Brasil </a>– que capturou as visões de mais de 21 mil consumidores on-line espalhados por todos Estados brasileiros - constatou que metade dos brasileiros já usa o smartphone para fazer compras. Em 2013, esse número era de apenas 15%. Grande parte destas operações são realizadas com acesso ao Internet Banking ou com uso do Cartão de Crédito e, de acordo com <a href="https://cmsportal.febraban.org.br/Arquivos/documentos/PDF/febraban_2018_Final.pdf">pesquisa realizada pela Febraban</a> em 2018, só o mobile banking representou 35% do total de transações realizadas em 2017, 8% a mais que no ano de 2016.
Por fim, recente <a href="https://www.accenture.com/us-en/insights/security/cost-cybercrime-study">pesquisa</a> demonstrou que o Brasil está entre os país que mais sofrem com custos decorrentes de ataques cibernéticos, com uma média anual de gastos da ordem de 7,24 milhões de dólares, como se pode ver na figura abaixo:
<a href="https://www.jota.info/wp-content/uploads/2019/10/94b63d84cfc7b541f6144d1d49a85e45.png"><img class="aligncenter wp-image-213041 size-full" src="https://www.jota.info/wp-content/uploads/2019/10/94b63d84cfc7b541f6144d1d49a85e45.png" alt="" width="541" height="336" /></a>
Além disso, no mesmo estudo consta a média anual dos custos gerados pelo cibercrime por setores da economia, sendo que as instituições financeiras são as que mais sofrem impactos do crime cibernético.
<a href="https://www.jota.info/wp-content/uploads/2019/10/1d2d1413ac076a95031bac81a0c15417.png"><img class="aligncenter wp-image-213042 size-full" src="https://www.jota.info/wp-content/uploads/2019/10/1d2d1413ac076a95031bac81a0c15417.png" alt="" width="529" height="399" /></a>
<blockquote class="jota-article__eye">Iniciativas regulatórias na área de cibersegurança para as instituições financeiras já foram empreendidas em diversos países.</blockquote>
Nos EUA foram implementadas regras como o Federal Financial Institutions Examination Council Cyberguidance e o Cybersecurity Requirements Required for Financial Services Companies chamado de “NY Cyber Regulation”. No Reino Unido a autoridade financeira Financial Conduct Authority (FCA) anunciou que a cibersegurança é a prioridade regulatória do momento. Em 2017 publicou CBEST Bank of England Sector Cyber Team publicou guias para cibersegurança.
Em Hong Kong a autoridade monetária (Honk Kong Monetary Authority “HKMA”) publicou uma circular já em 2015 sobre gerenciamentos de riscos em cibersegurança e em 2016 lançou a chamada Cybersecurity Fortification Initiative (“CFI”). Por fim, em Singapura a MAS (Monetary Authority of Singapore) publicou uma Notice on Technology Risk Management que foi posteriormente complementada por uma circular ainda em 2015 sobre risco tecnológico e treinamento em cibersegurança para os funcionários.
Justamente olhando para este quadro crítico é que o Conselho Monetário Nacional aprovou a Resolução do Banco Central nº 4.658 em 26 de abril de 2018 que determina que as instituições que são reguladas pelo Banco Central desenvolvam uma política de segurança cibernética, um plano de ação de respostas a incidentes, um plano de ação para continuidade de negócios e prevê requisitos para contratação de serviços terceirizados e em nuvem (cloud).
<blockquote class="jota-article__eye">A finalidade da Resolução é justamente uma política de segurança cibernética que garanta confidencialidade, integridade e disponibilidade de dados e sistema utilizados pelas instituições financeiras.</blockquote>
A nova norma financeira, que passa a valer integralmente em 2021, foi implementada pelo Banco Central com forte inspiração nas normas ISO 27000 (Sistemas de Gestão de Segurança da Informação) e ISO 22301 (Continuidade de Negócios) e demonstra maturidade do sistema financeiro ao exigir que os bancos brasileiros adaptem suas práticas de segurança cibernética com base nas lições aprendidas e nos indicadores preditivos derivados de atividades anteriores e atuais de segurança cibernética.
Segundo o <a href="https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.04162018.pdf">National Institute of Standards and Technology</a>, a maturidade de segurança cibernética consiste em: 
<ol type="I">
<li>
Garantir o envolvimento da liderança sênior, os principais executivos e o conselho;
</li>
<li>
Aumentar o perfil da cibersegurança na organização além do departamento de tecnologia da informação (TI) para dar à função de segurança maior atenção e maior influência; e
</li>
<li>
Alinhando os esforços de segurança cibernética com a estratégia de negócios da empresa.
</li>
</ol>
Justamente neste sentido é que combinação entre o Compliance Cibernético e o Direito Regulatório somente atingirá seu objetivo nas instituições financeiras reduzindo a vitimização pelos ciberataques se - além dos esforços de investimentos, sofisticação de medidas técnicas de segurança de softwares e hardwares - vierem acompanhados de políticas de treinamento intensivo de pessoal e envolvimento direto das lideranças do setor.

tech-3041437_1920

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Nova norma implementada pelo BC, que passa a valer integralmente em 2021, demonstra maturidade do sistema financeiro

Compliance cibernético, instituições financeiras e Direito Regulatório

Nova norma implementada pelo BC, que passa a valer integralmente em 2021, demonstra maturidade do sistema financeiro